\u00cen instrumentarul pentru lansarea containerelor izolate runc, folosit \u00een Docker \u0219i Kubernetes, a fost g\u0103sit\u0103 o vulnerabilitate CVE-2024-21626, care permite accesul la sistemul de fi\u0219iere al mediu gazd\u0103 dintr-un container izolat. \u00cen timpul atacului, un atacator poate suprascrie anumite fi\u0219iere executabile \u00een mediul gazd\u0103 \u0219i astfel poate executa codul s\u0103u \u00een afara containerului. \u00cen runtime-urile crun \u0219i youki, care utilizeaz\u0103 runc, precum \u0219i \u00een LXC, problema nu apare. Vulnerabilitatea a fost remediat\u0103 \u00een versiunea runc 1.1.12. <\/p>\n
\u00cen cazul utiliz\u0103rii instrumentelor Docker sau Kubernetes, atacul poate fi realizat prin preg\u0103tirea unei imagini de container special concepute, dup\u0103 instalarea \u0219i pornirea c\u0103reia se poate accesa un sistem de fi\u0219iere extern din container. La utilizarea Docker, exist\u0103 posibilitatea exploat\u0103rii printr-un Dockerfile special conceput. Vulnerabilitatea poate fi, de asemenea, exploatat\u0103 \u00een cazul \u00een care procesele sunt lansate \u00een container cu comanda «runc exec» prin legarea directorului de lucru la spa\u021biul de nume al mediului gazd\u0103. <\/p>\n
Vulnerabilitatea este cauzat\u0103 de scurgerea descriptorilor de fi\u0219iere interni. \u00cenainte de a rula codul \u00een interiorul containerului, runc \u00eenchide to\u021bi descriptorii de fi\u0219iere folosind flagul O_CLOEXEC. Cu toate acestea, dup\u0103 executarea ulterioar\u0103 a func\u021biei setcwd(), r\u0103m\u00e2ne un descriptor de fi\u0219ier deschis, care indic\u0103 directorul de lucru \u0219i continu\u0103 s\u0103 fie accesibil dup\u0103 lansarea containerului. Sunt propuse mai multe scenarii de baz\u0103 de atac asupra mediului gazd\u0103, folosind descriptorul de fi\u0219ier r\u0103mas. <\/p>\n
De exemplu, un atacator poate specifica \u00een imaginea containerului parametrul process.cwd, indic\u00e2nd c\u0103tre «\\\/proc\\\/self\\\/fd\\\/7\\\/», ceea ce va duce la legarea directorului de lucru la procesul pid1 din container, care se afl\u0103 \u00een spa\u021biul de montare al mediului gazd\u0103. Astfel, \u00een imaginea containerului se poate configura lansarea «\\\/proc\\\/self\\\/fd\\\/7\\\/..\\\/..\\\/..\\\/bin\\\/bash» \u0219i, prin execu\u021bia unui script shell, se poate suprascrie con\u021binutul «\\\/proc\\\/self\\\/exe», care face referire la copia gazdelor a \\\/bin\\\/bash. <\/p>\n
O alt\u0103 variant\u0103 de atac permite unui atacator, restric\u021bionat \u00een interiorul containerului, s\u0103 acceseze directorul mediului gazd\u0103, dac\u0103 \u00een containerul respectiv se lanseaz\u0103 procese privilegiate prin comanda «runc exec cu op\u021biunea «—cwd». Atacatorul poate \u00eenlocui calea procesului lansat cu un link simbolic, indic\u00e2nd c\u0103tre «\\\/proc\\\/self\\\/fd\\\/7\\\/» \u0219i poate ob\u021bine deschiderea «\\\/proc\\\/$exec_pid\\\/cwd» pentru acces la sistemul de fi\u0219iere din partea gazdelor. Atacatorul poate, de asemenea, s\u0103 suprascrie fi\u0219ierele executabile din mediul gazd\u0103, prin organizarea lans\u0103rii unui fi\u0219ier executabil din mediu gazd\u0103 («\\\/proc\\\/self\\\/fd\\\/7\\\/..\\\/..\\\/..\\\/bin\\\/bash») cu suprascrierea ulterioar\u0103 a fi\u0219ierului «\\\/proc\\\/$pid\\\/exe», care face referire la fi\u0219ierul lansat. <\/p>\n
\u00cen plus, \u00een componentele instrumentelor Docker au fost identificate \u00eenc\u0103 cinci vulnerabilit\u0103\u021bi: <\/p>\n